Databehandlaravtale

Ein databehandlaravtale er den skriftlege avtalen som må vere på plass når ei verksemd lèt nokon andre behandle personopplysningar på sine vegner, til dømes eit forvaltingsselskap som fører leigetakarregisteret for ein eigar, eller ein systemleverandør som lagrar dataa i skya. Avtalen fastset kva leverandøren har lov til å gjere med opplysningane, og han er eit krav etter GDPR artikkel 28. Partane kan ikkje velje han bort, og ei teneste kan ikkje takast i bruk før han er signert.

Rollene avgjer kven som treng avtalen. Den behandlingsansvarlege fastset formålet med behandlinga, databehandlaren utfører ho på oppdrag. Personvernforordninga artikkel 28 nr. 3 krev at avtalen fastset gjenstanden for behandlinga, varigheita, arten og formålet, typen personopplysningar og kategoriane av registrerte. Vidare skal han påleggje databehandlaren å behandle opplysningane berre etter dokumenterte instruksar, halde dei konfidensielle, oppfylle tryggleikskrava i artikkel 32, hjelpe den ansvarlege når registrerte krev innsyn eller sletting, slette eller levere tilbake alt når oppdraget er over, og la seg revidere. Avtalen skal vere skriftleg, og elektronisk form er tilstrekkeleg.

Underleverandørar er det punktet flest avtalar er tynne på. Ein databehandlar kan ikkje engasjere ein annan databehandlar utan skriftleg løyve, og blir løyvet gitt generelt, skal den ansvarlege varslast om nye eller utskifte underdatabehandlarar og kunne motsetje seg endringa. Databehandlaren har fullt ansvar overfor den behandlingsansvarlege for at underdatabehandlaren oppfyller pliktene sine. Difor har ein brukbar avtale eit vedlegg som listar underdatabehandlarane med namn, teneste og driftsland. Ligg ein av dei utanfor EØS, må overføringa ha eige grunnlag etter kapittel V i forordninga. Standardvilkåra til EU-kommisjonen for behandlingsansvarleg og databehandlar kan brukast som mal, og Datatilsynet har ein eigen rettleiar for innhaldet.

I eigedom er rollefordelinga som regel klar når du først ser etter det. Utleigar er behandlingsansvarleg for opplysningar om leigetakarane i eit leigeforhold etter husleigelova, medan forvaltaren, rekneskapsføraren og systemleverandøren er databehandlarar. Ved due diligence er dataromleverandøren databehandlar for seljar. Utveksling av leigetakarlister mellom seljar og kjøpar i ein eigedomstransaksjon er derimot ei utlevering mellom to behandlingsansvarlege, og då hjelper ingen databehandlaravtale: kvar part må ha sitt eige behandlingsgrunnlag. Brot på artikkel 28 kan gi overtredingsgebyr på opptil 10 millionar euro eller 2 % av global årsomsetning etter artikkel 83 nr. 4, og erstatningsansvaret etter artikkel 82 råkar begge partar.

Placepoint er behandlingsansvarleg for eigedoms- og selskapsdataa vi hentar inn og formidlar vidare, mellom anna frå grunnboken og matrikkelen. Sender du sjølv personopplysningar inn i tenesta, til dømes eit fødselsnummer i eit oppslag eller eit bulkuttrekk du bestiller, behandlar vi dei på ditt oppdrag, og då inngår vi databehandlaravtale etter artikkel 28. Kva malen dekkjer, står i Integrasjon og sikkerheit.

Frå Placepoint sin ordbok: Databehandlaravtale

Meir informasjon: Datatilsynet: Databehandlaravtale, Lovdata: Personvernforordninga artikkel 28, Personvernrådet: Retningslinjer 07/2020 om behandlingsansvarleg og databehandlar

Engelsk: Data processing agreement (DPA), the controller-to-processor contract required by GDPR Article 28.

Vanlege spørsmål

Når må eg inngå databehandlaravtale?

Når ein ekstern part behandlar personopplysningar på ditt oppdrag: forvaltar, rekneskapsførar, dataromleverandør, IT-drift eller ei skyteneste. Avtalen skal vere på plass før behandlinga startar. Er begge partar behandlingsansvarlege, som seljar og kjøpar i ein eigedomstransaksjon, er det ei utlevering og ikkje eit databehandlaroppdrag, og då treng kvar part sitt eige behandlingsgrunnlag etter GDPR.

Kva må avtalen innehalde?

Formål, varigheit, type opplysningar og kategoriar av registrerte, og pliktene til databehandlaren: instruksbinding, konfidensialitet, tryggleikstiltak, hjelp ved innsyn og sletting, sletting eller tilbakelevering ved avslutning og tilgang til revisjon. Eit vedlegg bør liste underdatabehandlarane med teneste og driftsland, sidan overføring ut av EØS krev eige grunnlag.

Kven har ansvaret dersom databehandlaren gjer ein feil?

Den behandlingsansvarlege svarar for valet av leverandør og for instruksane, men databehandlaren kan bøteleggjast direkte for sine eigne plikter og har fullt ansvar for underdatabehandlarane han brukar. Overfor den registrerte kan begge haldast erstatningsansvarlege.

Treng eg databehandlaravtale med Placepoint?

For eigedoms- og selskapsdata vi formidlar vidare, som opplysningar frå grunnboken om heimelshavar, er Placepoint behandlingsansvarleg, og då er det ikkje eit databehandlaroppdrag. Sender du personopplysningar inn i eit oppslag eller eit uttrekk, behandlar vi dei på ditt oppdrag, og vi inngår databehandlaravtale for det.